CFGM. Seguridad Informática Unidad 1 Conceptos básicos de la seguridad informática

CONTENIDOS 2. Objetivos de la seguridad informática 1. Seguridad informática ¿por qué? 2. Objetivos de la seguridad informática 3. Clasificación de seguridad 4. Amenazas y fraudes en los sistemas de la información 5. Leyes relacionadas con la seguridad de la información

1. Seguridad informática ¿por qué? El espectacular auge de Internet y de los servicios telemáticos ha hecho que los ordenadores y las redes se conviertan en un elemento cotidiano en nuestras casas y en un instrumento imprescindible en las tareas de las empresas. Las empresas, sea cual sea su tamaño, disponen de equipos conectados a Internet que les ayudan en sus procesos productivos. Cualquier fallo en los mismos puede suponer una gran pérdida económica ocasionada por el parón producido, de modo que es muy importante asegurar un correcto funcionamiento de los sistemas y redes informáticas. Con unas buenas políticas de seguridad, tanto físicas como lógicas, conseguiremos que nuestros sistemas sean menos vulnerables a las distintas amenazas. Tenemos que intentar lograr un nivel de seguridad razonable y estar preparados para que, cuando se produzcan los ataques, los daños puedan ser evitados o en caso contrario haber sido lo suficientemente precavidos para realizar las copias de seguridad.

2. Objetivos de la seguridad informática Si estudiamos las múltiples definiciones que de Seguridad Informática dan las distintas entidades, deduciremos los objetivos de la Seguridad Informática. Según la ISO27002 «La seguridad de la información se puede caracterizar por la preservación de: • Confidencialidad: Asegura que el acceso a la información está adecuadamente autorizado. • Integridad: Salvaguarda la precisión y completitud de la información y sus métodos de proceso • Disponibilidad: Asegura que los usuarios autorizados pueden acceder a la información cuando la necesitan». 3

2. Objetivos de la seguridad informática Según INFOSEC Glossary 2000: «Seguridad Informática son las medidas y controles que aseguran la confidencialidad, integridad y disponibilidad de los activos de los Sistemas de Información, incluyendo hardware, software, firmware y aquella información que procesan, almacenan y comunican». Los principales objetivos de la seguridad informática son: • Confidencialidad: consiste en la capacidad de garantizar que la información, almacenada en el sistema informático o transmitida por la red, solamente va a estar disponible para aquellas personas autorizadas a acceder a dicha información. • Disponibilidad: la definiremos como la capacidad de garantizar que tanto el sistema como los datos van a estar disponibles al usuario en todo momento. • Integridad: diremos que es la capacidad de garantizar que los datos no han sido modificados desde su creación sin autorización. • No repudio: este objetivo garantiza la participación de las partes en una comunicación. 4

2. Objetivos de la seguridad informática Para conseguir los objetivos enumerados anteriormente, se utilizan los siguientes mecanismos: • Autenticación, que permite identificar al emisor de un mensaje, al creador de un documento o al equipo que se conecta a una red o a un servicio. • Autorización, que controla el acceso de los usuarios a zonas restringidas, a distintos equipos y servicios después de haber superado el proceso de autenticación. • Auditoría, que verifica el correcto funcionamiento de las políticas o medidas de seguridad tomadas. • Encriptación, que ayuda a ocultar la información transmitida por la red o almacenada en los equipos • Realización de copias de seguridad e imágenes de respaldo. • Antivirus. • Cortafuegos o firewall, programa que audita y evita los intentos de conexión no deseados en ambos sentidos, desde los equipos hacia la red y viceversa. • Servidores proxys, consiste en ordenadores con software especial, que hacen de intermediario entre la red interna de una empresa y una red externa, como pueda ser Internet. • Utilización firma electrónica o certificado digital, son mecanismos que garantizan la identidad de una persona o entidad evitando el no repudio en las comunicaciones o en la firma de documentos. • Conjunto de leyes encaminadas a la protección de datos personales que obligan a las empresas a asegurar su confidencialidad. 5

3. Clasificación de seguridad Se pueden hacer diversas clasificaciones de la seguridad informática en función de distintos criterios. 3.1. Seguridad física y lógica Seguridad física La seguridad física es aquella que trata de proteger el hardware de las siguientes amenazas: 6

3. Clasificación de seguridad 3.1. Seguridad física y lógica Seguridad lógica La seguridad lógica complementa a la seguridad física, protegiendo el software de los equipos informáticos, es decir, las aplicaciones y los datos de usuario. Las principales amenazas y mecanismos de defensa son: 7

3. Clasificación de seguridad 3.2. Seguridad activa y pasiva Seguridad activa La seguridad activa la podemos definir como el conjunto de medidas que previenen e intentan evitar los daños en los sistemas informáticos. Las principales técnicas de seguridad activa son: 8

3. Clasificación de seguridad 3.2. Seguridad activa y pasiva Seguridad pasiva La seguridad pasiva complementa a la seguridad activa y se encarga de minimizar los efectos que haya ocasionado algún percance. Las técnicas más importantes de seguridad pasiva son: 9

4. Amenazas y fraudes en los sistemas de la información El objetivo final de la seguridad es proteger lo que la empresa posee. Todo aquello que es propiedad de la empresa se denomina activo. Un activo es tanto el mobiliario de la oficina, como los equipos informáticos, como los datos que se manejan. Cualquier daño que se produzca sobre estos activos tendrá un impacto en la empresa. En la siguiente tabla se muestran los pasos a seguir para la mejora de la seguridad: 10

4. Amenazas y fraudes en los sistemas de la información 4.1. Actuaciones para mejorar la seguridad Los pasos a seguir para mejorar la seguridad son los siguientes: • Identificar los activos, es decir, los elementos que la empresa quiere proteger. • Formación de los trabajadores de las empresas en cuanto a materias de seguridad. • Concienciación de la importancia de la seguridad informática para los trabajadores de la empresa. • Evaluar los riesgos, considerando el impacto que pueden tener los daños que se produzcan sobre los activos y las vulnerabilidades del sistema. • Diseñar el plan de actuación, que debe incluir: – Las medidas que traten de minimizar el impacto de los daños ya producidos. – Las medidas que traten de prevenir los daños minimizando la existencia de vulnerabilidades. – Revisar periódicamente las medidas de seguridad adoptadas. 11

4. Amenazas y fraudes en los sistemas de la información 4.2. Vulnerabilidades Las vulnerabilidades de un sistema son una puerta abierta para posibles ataques. Podemos diferenciar tres tipos de vulnerabilidades según cómo afectan a nuestro sistema: • Vulnerabilidades ya conocidas sobre aplicaciones o sistemas instalados. Son vulnerabilidades de las que ya tienen conocimiento las empresas que desarrollan el programa al que afecta y para las cuales ya existe una solución. • Vulnerabilidades conocidas sobre aplicaciones no instaladas. Son conocidas por las empresas desarrolladores de la aplicación, pero puesto que nosotros no tenemos dicha aplicación instalada no tendremos que actuar. • Vulnerabilidades aún no conocidas. Estas vulnerabilidades aún no han sido detectadas por la empresa que desarrolla el programa, si fuera detectada , podría ser utilizada contra todos los equipos que tienen instalado este programa. Clasificación de gravedad de las vulnerabilidades: 12

4. Amenazas y fraudes en los sistemas de la información 4. 3 4. Amenazas y fraudes en los sistemas de la información 4.3. Tipos de amenazas Un sistema informático se ve expuesto a un gran número de amenazas y ataques. Tipos de atacantes 13

4. Amenazas y fraudes en los sistemas de la información 4.3. Tipos de amenazas Los principales ataques que puede sufrir un sistema si se aprovechan sus vulnerabilidades son: 14

4. Amenazas y fraudes en los sistemas de la información 4.3. Tipos de amenazas Las formas de actuar de los ataques son las siguientes: 15

4. Amenazas y fraudes en los sistemas de la información 4.4. Pautas de protección para nuestro sistema Algunas de las pautas que debes seguir son: • No instalar nada que no sea necesario en los servidores. • Actualizar todos los parches de seguridad. • Formar a los usuarios del sistema para que hagan uso de buenas prácticas. • Instalar un firewall. • Mantener copias de seguridad según las necesidades. • Gestionar y revisar los logs del sistema. Los logs reflejan toda la actividad desarrollada en el sistema, por lo que su revisión periódica puede detectar a tiempo un posible ataque. • Sentido común y experiencia previa del administrador. 16

5. Leyes relacionadas con la seguridad de la información 5.1. Normativa que protege los datos personales Muy a menudo, en nuestra vida diaria, nuestros datos personales son solicitados para realizar diversos trámites en empresas o en organismos tanto públicos como privados. Su gestión está regulada por la Ley de Protección de Datos de Carácter Personal (LO 15/1999), más conocida como LOPD, que se desarrolla en el RD 1720/2007, y es supervisada por la Agencia Española de Protección de Datos. El objetivo de esta ley es garantizar y proteger los derechos fundamentales y, especialmente, la intimidad de las personas físicas en relación con sus datos personales. Es decir, especifica para qué se pueden usar, cómo debe ser el procedimiento de recogida que se debe aplicar y los derechos que tienen las personas a las que se refieren, entre otros aspectos. Protección de datos La LOPD no solo la tenemos que conocer desde nuestra profesión como técnicos en sistemas microinformáticos y redes, sino también como particulares, ya que nuestros datos están almacenados en ficheros que deberán cumplir esta legislación. 17

5. Leyes relacionadas con la seguridad de la información 5.1. Normativa que protege los datos personales Medidas de seguridad Siempre que se vaya a crear un fichero de datos de carácter personal, es necesario solicitar la aprobación de la Agencia de Protección de Datos. Cuando se realiza esta solicitud es obligatorio especificar los datos que figuran en la siguiente tabla: 18

5. Leyes relacionadas con la seguridad de la información 5.1. Normativa que protege los datos personales Medidas de seguridad El nivel que debe aplicarse es el más alto que corresponda a los datos incluidos en el fichero, es decir, si solo contiene los datos personales el nivel es básico, pero si además se incluye la afiliación sindical, el nivel de seguridad del fichero será alto. Características de los niveles de seguridad: 19

5. Leyes relacionadas con la seguridad de la información 5.2. Normativa de los sistemas de información y comercio electrónico La regulación de los sistemas de información es un tema muy extenso y complejo, tanto que existe un organismo, la Comisión del Mercado de las Telecomunicaciones (CMT), que establece las normas y procedimientos de los mercados nacionales de comunicaciones electrónicas y de servicios audiovisuales. La ley 34/2002 de servicios de la información y el comercio electrónico regula el régimen jurídico de los servicios de la sociedad de la información y la contratación por vía electrónica en las empresas que proporcionan estos servicios establecidos en España o en estados miembros de la unión Europea. Algunos de los aspectos más importantes de esta ley son: • Las empresas a las que afecta están obligadas a proporcionar información sobre nombre, domicilio, dirección de correo electrónico, número de identificación fiscal e información clara sobre el precio de los productos. • Exculpa de responsabilidad, siempre que no tengan conocimiento efectivo de la información contenida en sus servidores, a empresas que se dedican al alojamiento o almacenamiento de datos o enlaces a datos incluidos por clientes. • Establece la validez de los contratos realizados por vía electrónica. 20